Ce este limitarea ratei API în SaaS?

API-ul SaaS al unei aplicații bazate pe cloud limitează numărul de apeluri API către un serviciu pentru o anumită perioadă, pentru un dispozitiv client, utilizator, IP, cheie sau chiriaș. Clientul este configurat să trimită un număr specific de cereri. Acest tip de limitare a API-ului are implicații pentru capacitatea infrastructurii serviciului, deoarece ajută și la limitarea accesului utilizatorilor și la gestionarea cheltuielilor cloud.

În cadrul mecanismelor de limitare a ratei, monitorizarea mesajelor ‘429 Too Many Requests’ este o practică obișnuită, apărând atunci când serverele le transmit clienților după atingerea pragului de cereri. În multe cazuri, serverele folosesc antetul “Retry-After” pentru a informa clienții cu privire la întârzierea recomandată între reîncercările cererilor.

Iată ce face mai exact limitarea ratei:

• Este asociat cu abordarea potențialelor probleme operaționale ale sistemului care pot apărea dintr-un volum mare de cereri provenite dintr-o sursă neprevăzută.
• Acesta previne activități precum web scraping-ul sau atacurile brute-force.
• Acesta abordează costul rezultat din autoscaling sau utilizarea resurselor de către sistemele downstream.

1. Urmați instrucțiunile specificate în headerele Retry-After.
2. Încercați un backoff exponențial cu o componentă aleatoare.
3. “Așezați în coadă” cererile sau distribuiți sarcina la o concurență ridicată.
4. Puteți implementa un token bucket pentru gestionarea traficului și a cozilor pe partea de client pentru sarcinile de lucru care necesită ​‍​‌‍​‍‌paralelism.

O soluție tipică implică diverse straturi: gateway API, platformă de securitate edge și sistem de control al serviciilor sau de cote. Următoarele modele pot fi aplicabile:

• Limite pe cheie
• Limite pe entitate
• Limite specifice endpoint-ului
• Planuri eșalonate

În cazurile în care limitarea ratei de solicitări contribuie la un număr mai mare de contacte ale clienților pentru personalul de asistență, este recomandabil să se explice baza limitărilor cererilor. Furnizorii ar trebui sfătuiți să:
· Utilizeze coduri de stare HTTP distincte.
· Afișeze antetele Retry-After și rate-limit.
· Limitele specificate în documente să fie comunicate dezvoltatorilor.
· Acolo unde este fezabil, să afișeze statisticile de utilizare ale clientului sau cota sa rămasă.

Limitarea ratei gestionează abuzul, costurile și echitatea, dar eficacitatea sa în rezolvarea problemelor din sistemele distribuite poate avea limite. Integrarea limitării ratei cu alte controale justifică luarea în considerare:

• Cote
• WAF sau protecție împotriva roboților
• Autentificare și idempotență
• Monitorizare